Live Life Link

1
1. 裁决类 (Verdict statements)
2

3
accept 放行数据包。
4

5
nft add rule inet filter input tcp dport 22 accept
6
drop 丢弃数据包，不回应。
7

8
nft add rule inet filter input tcp dport 23 drop
9
reject [with ...] 拒绝并返回 ICMP/ICMPv6/TCP RST 等响应。
10

11
nft add rule inet filter input tcp dport 80 reject with tcp reset
12
jump <chain> 跳转到用户自定义链，执行完继续返回。
13

14
goto <chain> 跳转到链后不返回。
15

16
return 从当前链返回上一级。
17

18
2. 控制/修改类
19
queue 把包交给用户空间的 NFQUEUE 程序处理。
20

21
set <meta/mark> 修改包的元数据，比如打标记：
22

23
nft add rule inet filter output ip daddr 8.8.8.8 meta mark set 1
24
dup / fwd 复制或转发包到其他接口。
25

26
snat / dnat / masquerade / redirect NAT 动作：
27

28
snat：源地址转换
29

30
dnat：目的地址转换
31

32
masquerade：源地址伪装（常用于动态 IP 出口）
33

34
redirect：重定向到本机端口
35

36
3. 记录/统计类
37
counter 统计匹配到的包和字节数。
38

39
nft add rule inet filter input tcp dport 22 counter
40
log 把匹配的包记录到内核日志。
41

42
nft add rule inet filter input tcp dport 22 log prefix "SSH attempt: "
43
limit 限速匹配，用于防止日志风暴或 DoS。
44

45
nft add rule inet filter input icmp type echo-request limit rate 10/second accept
46
4. 连接跟踪/状态类
47
ct state 匹配连接状态（new, established, related, invalid）。
48

49
nft add rule inet filter input ct state established accept
50
ct mark / ct zone 设置或匹配连接跟踪的标记/区域。
51

52
5. 其他动作
53
meter 定义一个计量器，用于限速或统计。
54

55
flowtable 用于硬件加速转发。
56

57
map / set / verdict map 高级用法，可以根据集合映射到不同动作。

1
在使用sets时注意空格，一些版本(我所使用的)的nft不能将{80,443}正确识别，要写成 { 80, 443 } 。